Sesión en cookie HttpOnly firmada; cada login (éxito o fallo) queda registrado en el audit log.